1. 项目背景与核心价值
最近在整理渗透测试案例库时，发现一个名为"silent_peeper"的靶机环境特别有意思。这个靶机模拟了一个存在多重安全缺陷的企业内网环境，通过层层渗透最终获取域控权限的过程，完整呈现了红队实战中常见的攻击链。不同于普通CTF靶机，silent_peeper更注重模拟真实企业网络中的防御盲点，对渗透测试人员的技术广度和思维深度都是很好的锻炼。
这个writeup将详细记录我从外网渗透到内网横向移动的全过程，重点分析以下几个技术亮点：
- 通过非常规端口发现隐藏的Web服务
- 利用XXE漏洞实现内网信息收集
- NTLM Relay攻击在复杂网络环境中的实战应用
- 绕过受限管理终端的权限提升技巧
2. 环境探测与初始访问
2.1 非标准端口服务发现
使用masscan进行全端口扫描时，发现目标除了常见的80、443端口外，还在8085端口运行着Tomcat服务。这个Tomcat实例有两个特点值得注意：
- 版本号显示为8.5.31（存在已知漏洞）
- 管理界面使用了弱密码admin:admin
重要提示：真实环境中Tomcat管理界面暴露在公网的情况较少见，但某些企业的测试环境或临时系统可能存在此类配置疏忽。
通过管理界面上传war包时遇到限制，常规的PUT方法被禁用。这里采用curl直接发送POST请求绕过：
curl -u admin:admin -X POST --data-binary @shell.war "http://target:8085/manager/text/deploy?path=/shell"2.2 Web应用漏洞利用
获取webshell后发现当前权限受限，通过信息收集发现服务器同时运行着报表系统。审计其XML解析功能时发现存在XXE漏洞：
<!DOCTYPE data [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]> <report> <title>&xxe;</title> </report>利用这个漏洞我们成功读取到了：
- /etc/passwd中的用户列表
- /home目录下的.bash_history文件
- Tomcat配置中的数据库连接字符串
3. 内网横向移动
3.1 网络拓扑测绘
通过已控服务器进行内网扫描，发现以下关键资产：
- 10.10.10.10：域控制器（Windows Server 2016）
- 10.10.10.20：文件服务器
- 10.10.10.30：数据库服务器
使用Responder工具捕获到文件服务器的NTLMv2哈希，但破解未成功。转而利用SMB签名未强制要求的漏洞，实施NTLM Relay攻击：
ntlmrelayx.py -t smb://10.10.10.20 -smb2support3.2 权限提升与持久化
在文件服务器上发现管理员曾使用过PsExec工具，其配置文件中保存了明文凭证。通过这些凭证成功获取域管理员权限后，我们采取了以下持久化措施：
- 创建黄金票据：
ticketer.py -nthash <hash> -domain-sid <SID> -domain <DOMAIN> administrator- 在组策略中植入计划任务：
New-ScheduledTask -Action <action> -Trigger <trigger> -Settings <settings>4. 防御绕过技巧实录
4.1 对抗EDR的实践
在攻击过程中遇到某商业EDR产品的拦截，通过以下方法成功绕过：
- 使用Process Hollowing技术注入合法进程
- 对C2通信流量进行域前置伪装
- 利用合法的管理工具（如PsExec）作为载体
4.2 日志清除要点
清除Windows事件日志时需要注意：
- 优先处理安全日志（Event ID 4624/4625）
- 使用wevtutil时需指定正确通道名
- 对于DC服务器，还需清理DNS查询日志
5. 经验总结与改进建议
通过这个靶机演练，有几个关键经验值得分享：
信息收集阶段要特别关注：
- 非常规端口的服务
- 配置文件中的敏感信息
- 用户操作历史记录
在内网渗透中，相比暴力破解，更推荐：
- 寻找配置缺陷（如SMB签名）
- 利用协议特性（如NTLM Relay）
- 社工思路（如钓鱼邮件）
对于蓝队防御的建议：
- 严格限制管理界面公网暴露
- 对所有内部服务启用强认证
- 定期审计服务账户权限
这个靶机环境最精彩之处在于它真实模拟了企业网络中"安全债"的累积效应——单个漏洞可能危害有限，但当多个中低危漏洞形成攻击链时，就会造成严重后果。建议渗透测试人员多进行此类综合演练，培养完整的攻击面视角。
